本文介紹如何在Linux系統中使用dumpcap命令抓包并查看數據包詳細信息。dumpcap是Wireshark套件中的一個命令行工具，功能強大，可以捕獲和保存網絡數據包。

步驟一：啟動dumpcap

首先，打開終端，使用sudo命令以root權限運行dumpcap：

sudo dumpcap

步驟二：選擇網絡接口

dumpcap會列出所有可用的網絡接口。選擇需要抓包的接口，例如eth0或wlan0。 使用-i選項指定接口：

sudo dumpcap -i eth0

步驟三：設置過濾器（可選）

為了提高效率，可以使用-f選項設置BPF過濾器，只捕獲特定類型的數據包。例如，只捕獲80端口的TCP流量：

sudo dumpcap -i eth0 -f "tcp port 80"

步驟四：開始抓包

按回車鍵開始抓包。數據包信息會實時顯示在終端。 抓包完成后，按Ctrl+C停止。 dumpcap會生成一個.pcap文件，保存抓包數據。

步驟五：使用tshark分析pcap文件

tshark是wireshark的命令行工具，用于分析.pcap文件。 使用-r選項指定.pcap文件路徑：

sudo tshark -r your_capture_file.pcap

這會顯示數據包的詳細信息，包括時間戳、源地址、目的地址、協議等。

步驟六：使用tshark命令行查看特定字段

如果只需要查看特定字段，可以使用-T fields選項和-e選項指定字段名稱：

sudo tshark -r your_capture_file.pcap -T fields -e frame.time -e ip.src -e ip.dst

這將只顯示時間戳、源IP地址和目的IP地址。

安裝Wireshark

dumpcap和tshark是Wireshark的一部分。 請確保已安裝Wireshark。 使用以下命令安裝（根據你的Linux發行版選擇合適的命令）：

• Debian/Ubuntu:

  sudo apt-get update sudo apt-get install wireshark

• red Hat/Fedora/centos:

  sudo dnf install wireshark  # 或 sudo yum install wireshark

安裝完成后，即可使用上述命令進行抓包和分析。